Įrankių rinkinys naujokams: pateikiame trumpą pagrindinių įrankių, kurie bus naudingi atliekant vidinio tinklo testavimą, santrauką. Šias priemones jau aktyviai naudoja įvairiausi specialistai, todėl kiekvienam bus naudinga žinoti savo galimybes ir puikiai jas įvaldyti.
Turinys:
Nmap
– atvirojo kodo įrankis, skirtas nuskaityti tinklus, yra vienas populiariausių įrankių tarp saugumo specialistų ir sistemų administratorių. Visų pirma naudojamas prievadų nuskaitymui, bet be to, jis turi daug naudingų funkcijų, kurias iš esmės daro Nmap super kombainas tinklo tyrimams.
Be atvirų / uždarų prievadų tikrinimo, nmap gali nustatyti paslaugą, kuri klausosi atvirame prievade, ir jos versiją, o kartais padeda nustatyti OS. Nmap palaiko scenarijų nuskaitymą (NSE – Nmap Scripting Engine). Naudojant scenarijus, galima patikrinti įvairių paslaugų spragas (jei, žinoma, yra joms skirtas scenarijus arba visada galima parašyti savo) arba atkurti įvairių paslaugų slaptažodžius.
Taigi, Nmap leidžia sukurti išsamų tinklo žemėlapį, gauti maksimalią informaciją apie paslaugų paleidimą tinklo pagrindiniuose kompiuteriuose ir taip pat aktyviai patikrinti kai kuriuos pažeidžiamumus. Nmap taip pat turi lanksčius nuskaitymo nustatymus; galite konfigūruoti nuskaitymo greitį, gijų skaičių, nuskaitytų grupių skaičių ir kt.
Patogu nuskaityti mažus tinklus ir būtinas atskirų kompiuterių taškiniam nuskaitymui.
Argumentai "už":
- Greitai dirba su nedideliu šeimininkų asortimentu;
- Nustatymų lankstumas – galite derinti parinktis taip, kad per priimtiną laiką gautumėte informatyviausius duomenis;
- Lygiagretusis nuskaitymas – tikslinių kompiuterių sąrašas suskirstomas į grupes, o tada kiekviena grupė nuskaitoma paeiliui, grupės viduje naudojamas lygiagretusis skenavimas. Taip pat suskirstymas į grupes yra nedidelis trūkumas (žr. toliau);
- Iš anksto nustatyti scenarijų rinkiniai skirtingoms užduotims – jums nereikia praleisti daug laiko pasirenkant konkrečius scenarijus, o nurodyti scenarijų grupes;
- Išvesties rezultatai – 5 skirtingi formatai, įskaitant XML, kuriuos galima importuoti į kitus įrankius;
Trūkumai:
- Prieglobų grupės nuskaitymas – informacija apie bet kurį pagrindinį kompiuterį nepasiekiama, kol nebus baigtas visos grupės nuskaitymas. Tai galima išspręsti nustačius parinktyse maksimalų grupės dydį ir maksimalų laiko intervalą, per kurį bus tikimasi atsakymo į užklausą prieš nutraukiant bandymus ar darant kitą;
- Nuskaitydamas Nmap siunčia SYN paketus į tikslinį prievadą ir laukia atsakymo paketo arba skirtojo laiko, jei atsakymo nėra. Tai neigiamai veikia viso skaitytuvo veikimą, palyginti su asinchroniniais skaitytuvais (pavyzdžiui, zmap arba masscan);
- Nuskaitant didelius tinklus, naudojant vėliavėles, kad pagreitintumėte nuskaitymą (-min-rate, -min-paralelizmas), gali būti gauti klaidingai neigiami rezultatai, trūksta atvirų prievadų pagrindiniame kompiuteryje. Be to, šias parinktis reikia naudoti atsargiai, nes didelė paketų sparta gali sukelti netyčinį DoS.
Zmap
(nepainioti su ZenMap) – taip pat atvirojo kodo skaitytuvas, sukurtas kaip greitesnė Nmap alternatyva.
Skirtingai nei nmap, siųsdamas SYN paketus, Zmap nelaukia, kol sugrįš atsakymas, o tęsia nuskaitymą, vienu metu laukdamas atsakymų iš visų pagrindinių kompiuterių, todėl realiai nepalaiko ryšio būsenos. Kai gaunamas atsakymas į SYN paketą, Zmap pagal paketo turinį supras, kuris prievadas buvo atidarytas ir kuriame pagrindiniame kompiuteryje. Be to, Zmap siunčia tik vieną SYN paketą kiekvienam nuskaitytam prievadui. Taip pat galima naudoti PF_RING norint greitai nuskaityti didelius tinklus, jei po ranka turite 10 gigabitų sąsają ir suderinamą tinklo plokštę.
Argumentai "už":
- nuskaitymo greitis;
- Zmap generuoja eterneto kadrus, aplenkdamas sistemos TCP/IP steką;
- Galimybė naudoti PF_RING;
- ZMap atsitiktinai suskirsto taikinius, kad tolygiai paskirstytų apkrovą nuskaitytoje pusėje;
- Galimybė integruoti su ZGrab (priemone informacijai apie paslaugas rinkti L7 taikomųjų programų lygiu).
Trūkumai:
- Tai gali sukelti tinklo įrangos paslaugų atsisakymą, pavyzdžiui, sunaikinti tarpinius maršrutizatorius, nepaisant paskirstytos apkrovos, nes visi paketai praeis per vieną maršrutizatorių.
Masscan
- stebėtinai tai yra ir atvirojo kodo skaitytuvas, kuris buvo sukurtas turint vieną tikslą – dar greičiau nuskaityti internetą (mažiau nei per 6 minutes ~10 mln. paketų/s greičiu). Iš esmės jis veikia beveik taip pat kaip Zmap, tik dar greičiau.
Argumentai "už":
- Sintaksė panaši į Nmap, o programa taip pat palaiko kai kurias su Nmap suderinamas parinktis;
- Veikimo greitis – vienas greičiausių asinchroninių skaitytuvų.
- Lankstus nuskaitymo mechanizmas – nutraukto nuskaitymo atnaujinimas, apkrovos paskirstymas keliuose įrenginiuose (kaip Zmap).
Trūkumai:
- Kaip ir naudojant Zmap, paties tinklo apkrova yra itin didelė, todėl gali atsirasti DoS;
- Pagal numatytuosius nustatymus nėra galimybės nuskaityti L7 programos lygmenyje;
Nessus
— skaitytuvas, skirtas automatizuoti žinomų sistemos spragų nuskaitymą ir aptikimą. Nors uždaras šaltinis, yra nemokama „Nessus Home“ versija, leidžianti nuskaityti iki 16 IP adresų tokiu pat greičiu ir išsamia analize kaip ir mokama versija.
Gali identifikuoti pažeidžiamas paslaugų ar serverių versijas, aptikti sistemos konfigūracijos klaidas ir atlikti žodyno slaptažodžių brutalią jėgą. Galima naudoti paslaugų nustatymų (pašto, atnaujinimų ir kt.) teisingumui nustatyti, taip pat ruošiantis PCI DSS auditui. Be to, galite perduoti pagrindinio kompiuterio kredencialus Nessus (SSH arba domeno paskyra Active Directory), o skaitytuvas gaus prieigą prie pagrindinio kompiuterio ir atliks patikrinimus tiesiogiai jame. Ši parinktis vadinama kredencialų nuskaitymu. Patogu įmonėms, atliekančioms savo tinklų auditą.
Argumentai "už":
- Kiekvienam pažeidžiamumui atskiri scenarijai, kurių duomenų bazė nuolat atnaujinama;
- Rezultatų išvedimas – paprastas tekstas, XML, HTML ir LaTeX;
- API Nessus – leidžia automatizuoti nuskaitymo ir rezultatų gavimo procesus;
- Kredencialų nuskaitymas, galite naudoti „Windows“ arba „Linux“ kredencialus, kad patikrintumėte, ar nėra naujinimų ar kitų pažeidžiamumų;
- Galimybė rašyti savo įmontuotus saugos modulius – skaitytuvas turi savo scenarijų kalbą NASL (Nessus Attack Scripting Language);
- Galite nustatyti reguliaraus vietinio tinklo nuskaitymo laiką – dėl to Informacijos saugos tarnyba žinos apie visus saugos konfigūracijos pakeitimus, naujų kompiuterių atsiradimą ir žodyno ar numatytųjų slaptažodžių naudojimą.
Trūkumai:
- Galimi nuskaitomų sistemų veikimo sutrikimai – reikia atidžiai dirbti išjungus saugių patikrinimų parinktį;
- Komercinė versija nėra nemokama.
Grynieji kreditai
yra Python įrankis, skirtas rinkti slaptažodžius ir maišą, taip pat kitą informaciją, pavyzdžiui, aplankytus URL adresus, atsisiųstus failus ir kitą informaciją iš srauto, tiek realiuoju laiku MiTM atakos metu, tiek iš anksčiau išsaugotų PCAP failų. Tinka greitai ir paviršutiniškai didelių srautų analizei, pavyzdžiui, tinklo MiTM atakų metu, kai laikas ribotas, o rankinė analizė naudojant Wireshark reikalauja daug laiko.
Argumentai "už":
- Paslaugos identifikavimas grindžiamas paketų analize, o ne paslaugos identifikavimu pagal naudojamą prievado numerį;
- Lengva naudoti;
- Platus išgaunamų duomenų spektras – įskaitant FTP, POP, IMAP, SMTP, NTLMv1/v2 protokolų prisijungimus ir slaptažodžius, taip pat informaciją iš HTTP užklausų, pavyzdžiui, prisijungimo formas ir pagrindinį autentifikavimą;
tinklo kasėjas
- Net-Creds analogas veikimo požiūriu, tačiau turi didesnį funkcionalumą, pavyzdžiui, galima išgauti failus, perkeltus SMB protokolais. Kaip ir Net-Creds, tai patogu, kai reikia greitai išanalizuoti didelį srautą. Jis taip pat turi patogią grafinę sąsają.
Argumentai "už":
- Grafinė sąsaja;
- Duomenų vizualizavimas ir klasifikavimas į grupes supaprastina srauto analizę ir daro ją greitesnę.
Trūkumai:
- Bandomoji versija turi ribotas funkcijas.
mitm6
— priemonė, skirta atakoms prieš IPv6 (SLAAC ataka). IPv6 yra prioritetas Windows OS (paprastai kalbant ir kitose operacinėse sistemose), o pagal numatytąją konfigūraciją IPv6 sąsaja yra įjungta, todėl užpuolikas gali įdiegti savo DNS serverį aukai naudojant maršrutizatoriaus reklamos paketus, o po to užpuolikas gali apgauti aukos DNS . Puikiai tinka Relay atakai vykdyti kartu su ntlmrelayx priemone, kuri leidžia sėkmingai atakuoti Windows tinklus.
Argumentai "už":
- Puikiai veikia daugelyje tinklų būtent dėl standartinės „Windows“ prieglobos ir tinklų konfigūracijos;
atsakymas
— priemonė, skirta apgaudinėti transliacijos pavadinimų skyros protokolus (LLMNR, NetBIOS, MDNS). Nepakeičiamas įrankis Active Directory tinkluose. Be klastojimo, jis gali perimti NTLM autentifikavimą; taip pat pateikiamas informacijos rinkimo ir NTLM perdavimo atakų įgyvendinimo įrankių rinkinys.
Argumentai "už":
- Pagal numatytuosius nustatymus jis iškelia daug serverių su NTLM autentifikavimo palaikymu: SMB, MSSQL, HTTP, HTTPS, LDAP, FTP, POP3, IMAP, SMTP;
- Leidžia klaidinti DNS MITM atakų atveju (ARP klaidinimas ir kt.);
- Transliacijos užklausą pateikusių šeimininkų pirštų atspaudai;
- Analizės režimas – pasyviam užklausų stebėjimui;
- Perimtų maišų formatas NTLM autentifikavimui suderinamas su John the Ripper ir Hashcat.
Trūkumai:
- Kai veikia „Windows“, 445 prievado (SMB) susiejimas turi tam tikrų sunkumų (reikia sustabdyti atitinkamas paslaugas ir paleisti iš naujo);
Evil_Foca
- įrankis, skirtas patikrinti įvairias tinklo atakas IPv4 ir IPv6 tinkluose. Nuskaito vietinį tinklą, identifikuodamas įrenginius, maršrutizatorius ir jų tinklo sąsajas, po to galima vykdyti įvairias atakas prieš tinklo dalyvius.
Argumentai "už":
- Patogu vykdyti MITM atakas (ARP klaidinimas, DHCP ACK injekcija, SLAAC ataka, DHCP apgaulė);
- Galite vykdyti DoS atakas – su ARP klastojimu IPv4 tinkluose, su SLAAC DoS IPv6 tinkluose;
- Galima atlikti DNS užgrobimą;
- Lengva naudoti, patogi grafinė sąsaja.
Trūkumai:
- Veikia tik su Windows.
Bettercap
- galinga sistema, skirta analizuoti ir atakuoti tinklus, taip pat kalbame apie belaidžių tinklų atakas, BLE (bluetooth low energy) ir net MouseJack atakas prieš belaidžius HID įrenginius. Be to, jame yra informacijos iš srauto rinkimo funkcija (panaši į net-creds). Apskritai šveicariškas peilis (viskas viename). Neseniai vis dar turi .
Argumentai "už":
- Credential sniffer – galite užfiksuoti aplankytus URL ir HTTPS pagrindinius kompiuterius, HTTP autentifikavimą, daugelio skirtingų protokolų kredencialus;
- Daug integruotų MITM atakų;
- Modulinis HTTP(S) skaidrus tarpinis serveris – galite valdyti srautą pagal savo poreikius;
- Integruotas HTTP serveris;
- „Caplet“ palaikymas – failai, leidžiantys sudėtingas ir automatizuotas atakas aprašyti scenarijų kalba.
Trūkumai:
- Kai kurių modulių – pavyzdžiui, ble.enum – iš dalies nepalaiko „macOS“ ir „Windows“, kai kurie yra skirti tik „Linux“ – paketas.proxy.
gateway_finder
— Python scenarijus, padedantis nustatyti galimus tinklo šliuzus. Naudinga tikrinant segmentavimą arba ieškant pagrindinių kompiuterių, galinčių nukreipti į norimą potinklį arba internetą. Tinka vidiniams pentestams, kai reikia greitai patikrinti, ar nėra neleistinų maršrutų arba maršrutų į kitus vidinius vietinius tinklus.
Argumentai "už":
- Lengva naudoti ir pritaikyti.
mitmproxy
— atvirojo kodo įrankis, skirtas analizuoti srautą, apsaugotą naudojant SSL/TLS. Mitmproxy yra patogus perimti ir modifikuoti apsaugotą srautą, žinoma, su tam tikromis išlygomis; Įrankis nevykdo SSL/TLS iššifravimo atakų. Naudojamas, kai reikia perimti ir įrašyti SSL/TLS apsaugoto srauto pokyčius. Jį sudaro „Mitmproxy“ – skirtas srautui perduoti tarpiniam serveriui, „mitmdump“ – panašus į „tcpdump“, bet skirtas HTTP(S) srautui, ir „mitmweb“ – žiniatinklio sąsaja, skirta „Mitmproxy“.
Argumentai "už":
- Dirba su įvairiais protokolais, taip pat palaiko įvairių formatų modifikavimą, nuo HTML iki Protobuf;
- API for Python – leidžia rašyti scenarijus nestandartinėms užduotims atlikti;
- Gali dirbti skaidriu tarpinio serverio režimu su eismo perėmimu.
Trūkumai:
- Dump formatas su niekuo nesuderinamas - sunku naudoti grep, reikia rašyti scenarijus;
SEPTYNI
— įrankis, skirtas išnaudoti „Cisco Smart Install“ protokolo galimybes. Galima gauti ir modifikuoti konfigūraciją, taip pat perimti Cisco įrenginio valdymą. Jei pavyko gauti Cisco įrenginio konfigūraciją, galite ją patikrinti naudodami , šis įrankis naudingas analizuojant Cisco įrenginių saugos konfigūraciją.
Argumentai "už":
Naudodami „Cisco Smart Install“ protokolą galite:
- Pakeiskite tftp serverio adresą kliento įrenginyje išsiųsdami vieną netinkamai suformuotą TCP paketą;
- Nukopijuokite įrenginio konfigūracijos failą;
- Pakeiskite įrenginio konfigūraciją, pavyzdžiui, įtraukdami naują vartotoją;
- Atnaujinkite iOS vaizdą įrenginyje;
- Įrenginyje vykdykite atsitiktinį komandų rinkinį. Tai nauja funkcija, kuri veikia tik iOS 3.6.0E ir 15.2(2)E versijose;
Trūkumai:
- Veikia su ribotu Cisco įrenginių rinkiniu; jums taip pat reikalingas „baltas“ IP, kad gautumėte atsakymą iš įrenginio, arba turite būti tame pačiame tinkle kaip ir įrenginys;
jersinija
yra L2 atakų sistema, skirta išnaudoti įvairių L2 tinklo protokolų saugumo trūkumus.
Argumentai "už":
- Leidžia vykdyti atakas prieš STP, CDP, DTP, DHCP, HSRP, VTP ir kt.
Trūkumai:
- Ne pati patogiausia sąsaja.
tarpinių grandinių
- įrankis, leidžiantis nukreipti programų srautą per nurodytą SOCKS tarpinį serverį.
Argumentai "už":
- Padeda nukreipti srautą iš kai kurių programų, kurios pagal numatytuosius nustatymus negali veikti su tarpiniais serveriais;
Šiame straipsnyje trumpai apžvelgėme pagrindinių vidinio tinklo tikrinimo įrankių privalumus ir trūkumus. Sekite naujienas, ateityje planuojame išleisti tokias kolekcijas: Web, duomenų bazės, mobiliosios aplikacijos – apie tai taip pat būtinai parašysime.
Pasidalykite savo mėgstamomis komunalinėmis paslaugomis komentaruose!
Šaltinis: www.habr.com